W tym dokumencie omówiono typowe zagadnienia związane z konfigurowaniem uwierzytelniania między usługami Microsoft Azure Active Directory (Azure AD) i Azure Sync w połączeniu z katalogiem federacyjnym. Zawarto tu również dodatkowe informacje dotyczące nieaktualnej już wersji Azure Sync.
Poniżej podano odpowiedzi na pewne często zadawane pytania i informacje o istotnych zagadnieniach:
Za pomocą usługi Azure Sync można tworzyć tylko konta Federated ID. Tutaj można znaleźć więcej informacji o typach identyfikatorów.
Nie. Serwis Adobe Admin Console nie oferuje dzienników obsługi administracyjnej (dzienników aprowizacji).
Informacje diagnostyczne można natomiast wyszukiwać w dziennikach Azure Active Directory. Więcej informacji można znaleźć w dziennikach obsługi administracyjnej Azure Active Directory.
Firma Adobe zaktualizowała obsługę Azure Sync, aby zapewnić organizacjom partnerskim większe zabezpieczenia i inne opcje kontroli prywatności. Zaktualizowana usługa Azure Sync nie wymaga udzielania żadnych uprawnień do katalogu Azure organizacji, aby synchronizować użytkowników z serwisem Adobe Admin Console.
W środowisku, w którym istnieje podstawowy i powierniczy system Admin Console, usługa Azure Sync umożliwia zarządzanie użytkownikami wyłącznie w systemie podstawowym. Powiernicze systemy Admin Console mogą korzystać z logowania SSO z użyciem katalogu federacyjnego, ale w celu zarządzania użytkownikami należy w nich zastosować odrębny mechanizm (na przykład ręczne importowanie pliku CSV, narzędzie Synchronizacja użytkowników lub interfejs API User Management).
Za pomocą protokołu SCIM można sterować przepływem danych między klientem a usługą IdP. Jeśli usługa Azure Sync nie synchronizuje danych do systemów Adobe, przejrzyj dzienniki obsługi administracyjnej dotyczące aplikacji Adobe Identity Management w serwisie Azure AD Portal.
Upewnij się, że wartości przekazane do atrybutów użytkownika podczas synchronizacji są zgodne z wartościami w profilach użytkowników w Admin Console. Sprawdź dzienniki obsługi administracyjnej na platformie Azure, aby znaleźć atrybuty przekazane z Azure.
Aby korzystać z funkcji przypisywania na podstawie grup, Twoja organizacja musi mieć subskrypcję Premium (P1 lub P2) albo Microsoft 365 (E3 lub A3) z usługą Azure AD. Pozwala to na wybór określonych grup i użytkowników do synchronizacji z serwisem Adobe Admin Console.
Organizacje bez tych poziomów subskrypcji mogą synchronizować tylko wszystkich użytkowników i grupy naraz z serwisem Adobe Admin Console. System automatycznie zsynchronizuje wszystkich użytkowników i grupy oraz wygeneruje identyfikator Adobe Federated ID dla zsynchronizowanych użytkowników. Przeczytaj więcej o planach subskrypcji usługi Azure AD i opcjach aktualizacji.
Tak. Integracja Azure Sync umożliwia synchronizowanie grup zagnieżdżonych z katalogu Azure AD.
Jednak grupy takie nie są automatycznie synchronizowane w wyniku dodania do zakresu synchronizacji ich węzła nadrzędnego. Należy również dodać do zakresu grupy zagnieżdżone, aby zostały uwzględnione w automatycznej synchronizacji.
Tak. Każda zmiana w katalogu Azure AD jest odzwierciedlana w katalogu Adobe Admin Console. Obejmuje to takie atrybuty, jak imię, nazwisko, adres e-mail itp.
Tak. Aby używać usługi Azure Sync w połączeniu z takim katalogiem, konta użytkowników muszą być zarządzane w ramach instancji Azure AD.
Cyklami synchronizacji steruje usługa Azure AD. Początkowy cykl trwa dłużej, ponieważ synchronizowane są wszystkie konta użytkowników i grupy zdefiniowane w zakresie. Kolejne cykle występują mniej więcej co 40 minut, pod warunkiem, że jest uruchomiona usługa aprowizacji (obsługi administracyjnej) Azure AD.
Cyklu automatycznej synchronizacji nie można przyspieszyć za pomocą serwisu Adobe Admin Console.
Kolumna Status konta jest wyświetlana zarówno na liście Użytkownicy, jak i Użytkownicy katalogu i podaje administratorom informacje o statusie danego użytkownika.
W przypadku kont federacyjnych zsynchronizowanych z katalogu Azure Active Directory użytkownicy będą zarządzani w trybie „tylko do odczytu” za pośrednictwem usługi Azure Sync, a status ich konta będzie wynikać ze statusu w katalogu organizacji.
Aktywne = Konto może być używane do jednokrotnego logowania i ma dostęp do licencji. Jeśli została skonfigurowana synchronizacja, konto ma status „Aktywne”, gdy jest objęte automatyczną synchronizacją.
Wyłączone = Konto nie może być używane do jednokrotnego logowania ani uzyskiwania dostępu do licencji. Jeśli została skonfigurowana synchronizacja, to konto o statusie „Wyłączone” zostało usunięte z zakresu synchronizacji w katalogu Azure Active Directory organizacji. Taki użytkownik nie będzie mieć już możliwości logowania się na swoje konto, ale jego zasoby przechowywane w chmurze będą nadal dostępne.
Nie jest możliwe używanie usługi Azure Sync wraz z innym narzędziem do zarządzania użytkownikami.
Jeśli organizacja korzysta obecnie z narzędzia User Sync Tool lub integracji UMAPI, to należy najpierw wstrzymać taką alternatywną formę synchronizacji, a następnie postępować zgodnie z instrukcjami, aby skonfigurować usługę Azure Sync w celu zautomatyzowania zarządzania użytkownikami z platformy Azure Portal.
Po skonfigurowaniu i uruchomieniu usługi Azure Sync można całkowicie usunąć narzędzie User Sync Tool lub integrację UMAPI.
Postępuj zgodnie z tymi instrukcjami, aby zmienić typ kont na Federated ID.
Zarządzając usługą Azure Sync z użyciem platformy Microsoft Azure, można spotkać się z pewnym zbiorem typowych komunikatów o błędach. Poznanie przyczyn zgłaszania tych komunikatów pomoże w zdiagnozowaniu problemu.
Więcej informacji: Monitorowaniu wdrożenia z poziomu katalogu Azure AD. Więcej metod podano w artykule na temat diagnozowania problemów z synchronizacją.
Tak. Można wyłączyć lub nawet usunąć usługę Azure Sync z katalogu federacyjnego. Spowoduje to usunięcie funkcji automatycznej synchronizacji, ale pozostawi nienaruszony katalog, domeny i konta użytkowników.
Usuwając usługę synchronizacji, należy również wyłączyć jej opcję Konfigurowanie obsługi kont użytkowników na platformie Azure AD, aby zapobiec kwarantannie katalogu przez tę platformę.
Konta, które nie są już zarządzane za pośrednictwem usługi Azure Sync, domyślnie otrzymują tylko status wyłączone, aby uniknąć przypadkowej utraty danych.
Aby trwale usunąć użytkowników, należy włączyć możliwość edycji zsynchronizowanych kont na karcie Synchronizacja i usunąć konta ręcznie w serwisie Admin Console.
Adobe MAX
The Creativity Conference
14–16 października, plaża Miami Beach i online
Adobe MAX
The Creativity Conference
14–16 października, plaża Miami Beach i online
